第一層：服務集標識符 (SSID) —— 基礎邊界

• 不同 AP 設定不同 SSID，客戶端必須出示正確 SSID 才能關聯；
• 可實現用戶群組隔離與資源權限區分；
• 弱點： 明文廣播易竊聽、易共享、偽裝性弱；「ANY SSID」功能更將其繞過。

第二層：物理地址過濾 (MAC) —— 硬體白名單

• AP 維護允許訪問的 MAC 列表；
• 缺陷： 手工維護擴展性極差、MAC 理論可偽造、屬設備認證而非用戶認證；
• 僅適合小型固定網絡。

第三層：有線等效保密 (WEP) —— 已棄用的加密基線

• 鏈路層 RC4 對稱加密，40/64-bit 或 128-bit 密鑰；
• 致命缺陷： 全網共享靜態密鑰、單點洩露全網失陷、40-bit 易暴力破解、密鑰手工維護無擴展性；
• 現僅作歷史參考，嚴禁新部署。

第四層：Wi-Fi Protected Access (WPA) —— 強健的過渡方案

• 繼承 WEP RC4 基礎，強化密鑰生成算法：基於主密鑰 + MAC + 封包序號，為每個封包生成唯一會話密鑰；
• 採集再多封包也幾乎無法逆推主密鑰；
• 新增資料完整性校驗 (MIC) 防篡改、認證機制 防偽裝；
• 作為 802.11i 子集，構成「認證+加密+完整性」完整方案；
• 現狀： WPA2 (AES-CCMP) 為主流，WPA3 (SAE) 逐步普及。

第五層：WAPI (GB 15629.11) —— 國家標準自主可控

• 基於公開金鑰體系證書機制，實現移動終端 (MT) 與 AP 雙向鑑別；
• 用戶安裝證書即可跨區域漫游，體驗優；
• 兼容現有計費體系（計時/計流量/包月）；
• AP 配證書後無需後台 AAA 複雜配置，組網擴展極簡；
• 適配家庭、企業、運營商多模式；ISO/IEC IEEE RA 認可。

第六層：端口存取控制 (802.1X) —— 企業級準入黃金標準

• STA 關聯 AP 後，能否使用服務取決於 802.1X 認證結果；
• 架構：STA (Supplicant) ↔ AP (Authenticator/RADIUS Client) ↔ RADIUS Server；
• 提供用戶級認證、計費、動態 VLAN/ACL 下發；
• 必備：客戶端軟體、AP 內嵌認證代理、RADIUS 基礎設施；
• 最適合公共無線熱點、企業無線準入、校園網等場景。

部署建議：分級防護、纵深防御

場景	推薦組合
家庭/SOHO	WPA2-PSK (AES) + 關閉 SSID 廣播 + MAC 白名單(可選)
企業內部	WPA2-Enterprise (802.1X/RADIUS) + 動態 VLAN + 郵件/NAC 聯動
公共熱點/運營商	WAPI + Portal 認證 + 計費聯動 或 802.1X + Portal 雙模
高安密單位	WAPI + 802.1X 雙重認證 + 專網隔離